首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >Django 2.1.7 模板 - HTML转义

Django 2.1.7 模板 - HTML转义

作者头像
Devops海洋的渔夫
发布2019-07-02 17:58:50
4K0
发布2019-07-02 17:58:50
举报
文章被收录于专栏:Devops专栏Devops专栏

相关篇章

Django 2.1.7 创建应用模板

Django 2.1.7 配置公共静态文件、公共模板路径

Django 2.1.7 模板语言 - 变量、标签、过滤器、自定义过滤器、模板注释

Django 2.1.7 模板继承

参考文献

https://docs.djangoproject.com/zh-hans/2.1/topics/templates/

HTML转义

模板对上下文传递的字符串进行输出时,会对以下字符自动转义。

小于号< 转换为 &lt;

大于号> 转换为 &gt;

单引号' 转换为 &#39;

双引号" 转换为 &quot;

与符号& 转换为 &amp;

示例

1)打开assetinfo/views.py文件,创建视图html_escape。

def html_escape(request):
    context={'content':'<h1>hello world</h1>'}
    return render(request,'assetinfo/html_escape.html',context)

2)打开assetinfo/urls.py文件,配置url。

urlpatterns = [
    # ex:/assetinfo/html_escape
    path('html_escape', views.html_escape),
]

3)在templates/assetinfo/目录下创建html_escape.html。

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    自动转义:{{content}}
</body>
</html>

4)运行服务器,在浏览器中输入如下网址。

http://127.0.0.1:8000/assetinfo/html_escape

可以从源码中看到 <> 都被转义为了 &lt; &gt;

关闭转义

过滤器escape可以实现对变量的html转义,默认模板就会转义,一般省略。

{{t1|escape}}

过滤器safe:禁用转义,告诉模板这个变量是安全的,可以解释执行。

{{data|safe}}

1)修改templates/assetinfo/html_escape.html代码如下。

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    自动转义:{{content}}
    <hr>
    过滤器safe关闭转义:{{content|safe}}
</body>
</html>

刷新浏览器后效果如下图:

可以看到,关闭了转义之后,正常显示了h1标题。一般为了避免js攻击,都是禁用的。

这里关闭转义是一句句通过safe过滤器来编写,能不能直接给一段html关闭转义呢?

标签autoescape:设置一段代码都禁用转义,接受on、off参数。

{%autoescape off%}
...
{%endautoescape%}

1)修改templates/assetinfo/html_escape.html代码如下。

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    自动转义:{{content}}
    <hr>
    过滤器safe关闭转义:{{content|safe}}
    <hr>
    标签autoescape关闭转义:
    {% autoescape off %}
    {{ content }}
    {{ content }}
    {{ content }}
    {% endautoescape %}
</body>
</html>

刷新浏览器后效果如下图:

字符串字面值

对于在模板中硬编码的html字符串,不会转义。

1)修改templates/assetinfo/html_escape.html代码如下:

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    自动转义:{{content}}
    <hr>
    过滤器safe关闭转义:{{content|safe}}
    <hr>
    标签autoescape关闭转义:
    {% autoescape off %}
    {{ content }}
    {{ content }}
    {{ content }}
    {% endautoescape %}
    <hr>
    模板硬编码不转义:{{data|default:'<b>hello</b>'}}
</body>
</html>

2)刷新浏览器后效果如下图:

如果希望出现转义的效果,则需要手动编码转义。

1)修改templates/booktest/html_escape.html代码如下:

    <hr>
    模板硬编码手动转义:{{data|default:"&lt;b&gt;123&lt;/b&gt;"}}

2)刷新浏览器后效果如下图:

本文参与 腾讯云自媒体分享计划,分享自作者个人站点/博客。
原始发表:2019.06.29 ,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 作者个人站点/博客 前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体分享计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
目录
  • 相关篇章
  • 参考文献
  • HTML转义
  • 示例
  • 关闭转义
    • 过滤器escape可以实现对变量的html转义,默认模板就会转义,一般省略。
      • 过滤器safe:禁用转义,告诉模板这个变量是安全的,可以解释执行。
        • 标签autoescape:设置一段代码都禁用转义,接受on、off参数。
          • 字符串字面值
          领券
          问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档